Perjanjian pemrosesan data

1. Pokok bahasan, durasi, sifat, dan tujuan

Pokok bahasan: penyediaan layanan berdasarkan ketentuan layanan. Durasi: langganan, ditambah jangka waktu yang diperlukan untuk mengembalikan dan menghapus data. Sifat dan tujuan: hosting, pencarian, dan pengiriman konten klien agar anggota dapat meneliti hukum dengan model AI pilihan pengendali.

Kategori subjek data: anggota pengendali, dan setiap orang yang disebut dalam konten yang dimasukkan anggota. Jenis data pribadi: apa pun yang dimasukkan anggota; layanan ini tidak dirancang untuk kategori khusus (Pasal 9) atau data tindak pidana (Pasal 10), dan pengendali memutuskan apakah akan memasukkannya.

2. Instruksi

Kami memproses data pribadi klien hanya atas instruksi terdokumentasi dari pengendali — ketentuan, perjanjian ini, dan pengaturan yang dipilih pengendali di aplikasi — kecuali hukum UE atau negara anggota mewajibkan sebaliknya, dan dalam hal itu kami memberi tahu pengendali terlebih dahulu kecuali hukum melarangnya. Kami memberi tahu pengendali jika kami berpendapat suatu instruksi melanggar hukum perlindungan data.

3. Kerahasiaan

Setiap orang yang berwenang memproses data pribadi klien terikat kerahasiaan.

4. Langkah keamanan

• Hosting di UE (Hetzner, Nuremberg, Jerman); enkripsi dalam transit. Cadangan disimpan di server kami; salinan di luar lokasi, setelah dibuat, dienkripsi.
• Tidak ada penyimpanan teks pertanyaan atau jawaban kecuali pengendali mengaktifkan transkrip; transkrip dienkripsi di bawah kunci khusus organisasi.
• Kunci penyedia AI disegel saat disimpan; setelah itu aplikasi hanya menampilkan empat karakter terakhirnya.
• Kontrol akses berbasis peran di dalam organisasi; kunci sandi dan faktor kedua didukung; masuk tunggal tingkat organisasi melalui penyedia identitas organisasi sendiri (Microsoft Entra ID, Google, Okta, atau penyedia OpenID Connect apa pun), setelah organisasi membuktikan domain emailnya.
• Log audit hanya-tambah dengan ekspor yang ditandatangani.
• Staf kami bekerja melalui konsol staf. Konsol itu memerlukan akun staf dengan faktor kedua dan masuk dalam 12 jam terakhir. Setiap perubahan yang dilakukan staf terhadap organisasi memerlukan alasan dan dicatat dalam log audit organisasi itu sendiri. Pemberian atau pencabutan akses staf dicatat dalam log audit kami sendiri. Mengubah harga, menerbitkan atau membayar faktur, mencatat pemeriksaan nomor PPN, atau mengubah jangka simpan dari baris perintah server juga memerlukan nama operator dan alasan. Dukungan dapat melihat suatu organisasi sebagai anggota, hanya-baca, paling lama 30 menit; itu juga dicatat dalam log organisasi. Pelanggaran data pribadi ditangani sebagaimana diatur di bawah Bantuan.

5. Sub-prosesor

Pengendali memberikan otorisasi umum untuk sub-prosesor yang tercantum dalam daftar sub-prosesor. Kami memberikan pemberitahuan setidaknya 30 hari sebelum penambahan atau penggantian melalui email dan di halaman itu; pengendali dapat menolak atas dasar perlindungan data yang wajar dan, jika kami tidak dapat menyelesaikan keberatan itu, mengakhiri layanan terkait dengan pengembalian dana pro rata. Setiap sub-prosesor terikat kewajiban perlindungan data yang setara dengan ini, dan kami tetap bertanggung jawab atasnya.

Penyedia AI yang dihubungkan pengendali dilibatkan oleh pengendali, berdasarkan perjanjian pengendali sendiri dengannya, dan bukan sub-prosesor kami.

6. Bantuan

Kami membantu pengendali menjawab permintaan subjek data — fungsi ekspor dan hapus di aplikasi mencakup sebagian besar — serta dalam hal keamanan, pemberitahuan pelanggaran, penilaian dampak, dan konsultasi awal, dengan mempertimbangkan apa yang dapat kami ketahui. Kami memberi tahu pengendali tentang pelanggaran data pribadi tanpa penundaan yang tidak semestinya, dan kami berupaya dalam 48 jam sejak kami mengetahuinya.

7. Pengembalian dan penghapusan

Selama organisasi Anda masih terbuka, pengendali dapat mengekspor datanya kapan saja. Ketika organisasi ditutup, kami menghapus data pribadi klien yang dimilikinya 30 hari kemudian, termasuk dari cadangan ketika cadangan itu berputar, kecuali hukum mewajibkan kami menyimpannya.

8. Informasi dan audit

Kami menyediakan informasi yang diperlukan untuk menunjukkan kepatuhan terhadap Pasal 28 dan mengizinkan audit oleh pengendali atau auditor yang ditunjuknya, dengan pemberitahuan yang wajar dan paling banyak sekali setahun kecuali pelanggaran atau otoritas mensyaratkan lain. Kami belum memiliki sertifikasi keamanan apa pun dan belum ada uji penetrasi independen; ketika kami memilikinya, itu akan dicantumkan di sini beserta tanggalnya.